Dem Geld auf der Spur: Wie gestohlene Krypto On-Chain verschwindet

Der Anruf kommt um vier Uhr morgens, und die Person am anderen Ende atmet, als hätte sie seit neun Stunden nicht mehr ausgeatmet. Sechs Stunden zuvor wurden von einer Multi-Signature-Wallet einer mittelgroßen Krypto-Börse rund vier Millionen Dollar in USDT abgehoben, und die Person, die die betrügerischen Transaktionen signiert hat – nennen wir sie M –, sitzt nun in einer Mietwohnung bei geschlossenen Fenstern und sieht zu, wie ihr eigenes Verbrechen in einem Blockchain-Explorer abgespielt wird. Jeder mit einem Browser kann jede Transaktion, jeden Transfer und jede Dezimalstelle sehen. Seine Freundin könnte ihn auditieren, sein Friseur könnte dasselbe tun, und noch beunruhigender: ein pseudonymer Internet-Detektiv könnte es auch, der schon Teams zu Fall gebracht hat, die weitaus professioneller waren als seines.

M ist schließlich nicht dumm. Er verstand den Smart Contract, den er ausnutzte, er wusste, welche Hot Wallet übermäßige Befugnisse hatte, und er wählte den Zeitpunkt der Abhebung so, dass das Überwachungsteam der Börse wahrscheinlich nur in Minimalbesetzung arbeitete. Was er jedoch nicht bedacht hatte – und was fast allen Ersttätern entgeht –, ist, dass der eigentliche Diebstahl des Geldes der einfache Teil war. Zwischen den sieben von ihm genutzten Adressen und der Rückkehr zu einem normalen Leben liegt ein System, das einzig und allein dazu existiert, um sicherzustellen, dass Leute wie er niemals damit durchkommen.

Die erste Erwähnung des Vorfalls taucht innerhalb von neunzig Minuten in den sozialen Medien auf; sie stammt nicht von der Börse – da diese noch an ihrer Entschuldigung feilt –, sondern wird von einem On-Chain-Ermittler mit großer Reichweite gepostet, der offenbar keinen Schlaf braucht. Dieser Ermittler liefert Adress-Labels, führt eine Zeitanalyse durch und präsentiert eine plausible Erklärung für den Angriff. M liest dies zweimal und malt sich selbst aus, wie seine Zukunft aussehen wird. Er hat keine Kontakte zu Bankern und könnte unmöglich mit einem Telefon voller Hot Wallets nach Dubai fliegen. Alles, was er braucht, ist ein Spezialist, und im Morgengrauen hat er bereits einen kontaktiert.

Der Aspekt jenes Threads, der M mehr beunruhigt als die Analyse selbst, ist, dass der Ermittler nicht nur die Börse markiert hat, sondern beiläufig auch die Adressen selbst aufführte. Früher dauerte es nach einem Banküberfall Wochen, bis eine Täterbeschreibung vorlag. In diesem Fall jedoch war das Phantombild fertig, bevor die Tresortür überhaupt ins Schloss gefallen war. Da die Börse in Panik geraten ist und um ihr öffentliches Image fürchtet, wird sie mit hoher Wahrscheinlichkeit ein Kopfgeld aussetzen – einen Anteil an allem, was wiederbeschafft wird, zahlbar an jeden, der Hinweise liefert, die zum Einfrieren von Geldern führen. Nach ihrem Milliarden-Hack tat Bybit genau das und bot eine Belohnung von zehn Prozent, was das gesamte Internet in eine digitalisierte Bürgerwehr verwandelte. Nun hat jeder Kopfgeldjäger mit einem Laptop einen finanziellen Anreiz, Ms Geld zu identifizieren, noch bevor M es ausgeben kann. Seine gestohlenen Millionen haben ihn nicht nur zu einem Flüchtigen gemacht, sondern auch zur Zielscheibe einer unbefristeten, sich selbst finanzierenden Menschenjagd, bei der der Steckbrief in Echtzeit aktualisiert wird.

Der Spezialist – also der Fixer – hackt selbst überhaupt nicht, und genau das macht ihn so wertvoll. Sein Produkt ist nicht der Diebstahl, sondern das Vergessen. Er verpflichtet sich, das Geld aus der sichtbaren Wirtschaft der Blockchain herauszuschleusen und es in unauffälliger Form wieder auftauchen zu lassen: als Fiat-Währung in einer Jurisdiktion, die niemand im Auge behält, als Beraterrechnung oder als Unternehmen mit scheinbar legitimen Einnahmen. Sein Honorar beginnt bei zehn Prozent und steigt, je komplizierter die Lage wird. Und obwohl M dachte, dass zehn Prozent bereits Wucher seien, wird er bald feststellen, dass dies tatsächlich nur der Mindestsatz dessen ist, was man ihm gleich abverlangen wird.

Die gläserne Blockchain

Das Paradoxon, das Ms Nacht so endlos lang macht, lautet: Krypto wurde der Welt als Datenschutztechnologie präsentiert, ist jedoch in Wirklichkeit die am wenigsten private Form von Geld, die jemals erfunden wurde. Bargeld hinterlässt fast keine Spuren – wechselt ein Schein den Besitzer, vergisst er all jene Menschen, mit denen er je in Kontakt war. Eine Blockchain hingegen erinnert sich an alles und speichert für immer eine Aufzeichnung jedes Kontakts, komplett mit Zeitstempeln. Pseudonymität ist nicht dasselbe wie Anonymität; sie ist Anonymität auf Zeit, die nur auf einen Moment der Unachtsamkeit wartet, um jemanden auffliegen zu lassen.

Ermittler machen sich eine Handvoll inhärenter struktureller Schwächen zunutze. Es ist wichtig, diese zu verstehen, da sie erklären, warum Geldwäsche derart kompliziert sein muss. Werden zwei Adressen im Rahmen derselben Transaktion finanziert, gehören sie höchstwahrscheinlich demselben Kontrolleur – dies nennt man Co-Spend-Heuristik, und sie ist die mit Abstand effektivste Regel in der On-Chain-Forensik. Die Muster bei Wechselgeld-Adressen offenbaren Gewohnheiten: Eine Wallet, die ihre Outputs wiederholt in denselben ungeraden Verhältnissen aufteilt, signiert damit praktisch ihr eigenes Verhalten. Dass Einzahlungen auf eine Börse um 3 Uhr nachts Ortszeit getätigt werden, verrät die Zeitzone einer Person genauso, wie Fußspuren den Schuhtyp verraten. All das lässt sich ohne richterlichen Beschluss ermitteln; man braucht lediglich Geduld, da das Hauptbuch jede Transaktion festhält.

Aus diesem Grund kann der Fixer das Geld nicht einfach an eine neue Wallet senden und es dabei bewenden lassen. Eine neue Adresse gleicht eher einer Verkleidung als einer neuen Identität. Die Gelder müssen alle logischen Ketten durchbrechen – jene, die den Diebstahl mit dem ersten Hop verbinden, jene, die die Hops untereinander verknüpfen, und jene, die die Hops mit echten Personen verbinden. Jeder dieser Brüche erfordert entweder Geld, Zeit oder beides, und das ganze Können des Fixers besteht darin, zu wissen, welche dieser Brüche tragend sind.

M übersieht zudem die menschliche Komponente des Problems. Die Blockchain wird nicht nur von der Polizei überwacht, sondern auch von Hobby-Detektiven, Journalisten, Opfergruppen und Kopfgeldjägern, die alle unterschiedlichste ethische Standards pflegen. Tatsächlich haben die berühmtesten unter ihnen eine Karriere aufgebaut und sich einen Ruf im Wert von Millionen von Dollar erarbeitet, indem sie genau jene Art von Konstrukten ans Licht bringen, die M gerade zu kaufen versucht. Dem Fixer ist das bewusst; ein Teil seines Honorars begründet sich darin, dass auch er beobachtet wird und seine eigene operative Sicherheit der Überprüfung durch Leute standhalten muss, die, offen gesagt, besser darin sind als sein Klient.

Die ersten zweiundsiebzig Stunden

In diesem Spiel ist das Timing alles, denn die Uhr tickt unerbittlich. Der Tag nach einem großen Coup ist die gefährlichste Phase für das Geld, da es irgendwann mit der realen Welt in Kontakt treten muss. Börsen sind die größten Schwachstellen: Werden gestohlene Coins auf einer Custodial-Plattform eingezahlt, landen sie in einem Gebäude, in dem es Compliance-Beauftragte, drohende Vorladungen und eine enorme Motivation zur Kooperation gibt – denn es ist günstiger, dem Opfer zu helfen, als mit der Tat in Verbindung gebracht zu werden. Stablecoin-Emittenten verfügen über eine noch direktere Möglichkeit: eine Freeze-Funktion, die direkt im Token-Contract implementiert ist. Tether hat im Laufe der Jahre verdächtige USDT im Wert von Hunderten Millionen Dollar eingefroren – mitunter nur Stunden, nachdem ein Hack gemeldet wurde.

Von Beginn an besteht das Ziel des Geldwäschers darin, den kontrollierten Raum zu verlassen, bevor die Einfrierungsanordnungen greifen. Der erste Schritt muss darin bestehen, sich auf jede Adresse zu konzentrieren, die tokenisierte Dollar enthält, da der Emittent diese per Fernzugriff unbrauchbar machen kann – dazu braucht es weder einen Gerichtsbeschluss noch Verhandlungen, sondern lediglich eine Transaktion, die das Guthaben einfriert, egal wo es liegt. Die nächste Priorität ist der Wechsel von den Chains, die von Analysten am intensivsten überwacht werden, hin zu jenen mit hohem Handelsvolumen – und dann in Jurisdiktionen, in denen die lokalen Kontrahenten Papierkram für die Angelegenheit anderer Leute halten. Je größer die Verzögerung, desto geringer werden die Ausstiegsmöglichkeiten.

Vor diesem Hintergrund wird der geradezu industrielle Ansatz dieses Handwerks deutlich, für den der jüngste Präzedenzfall zugleich der größte Krypto-Diebstahl der Geschichte ist. Im Februar 2025 erbeuteten Angreifer mit Verbindungen zur nordkoreanischen Lazarus Group rund eineinhalb Milliarden Dollar von der Bybit-Börse – eine Summe, die, sobald erbeutet, kein bloßer Raub mehr war, sondern eine logistische Großoperation. Das Geld wurde innerhalb weniger Stunden auf Tausende neuer Adressen verteilt, über Cross-Chain-Dienste von Ethereum in Bitcoin getauscht, über No-KYC-Sofortwechsler geschleust, deren Betreiber später versicherten, sie hätten jeweils nur Kleinstbeträge verarbeitet, und schließlich an Over-The-Counter-Broker weitergeleitet, deren gesamtes Geschäftsmodell darauf beruht, keine Fragen zu stellen. Die Ermittler, einschließlich der pseudonymen, verfolgten das Geld in Echtzeit, Tweet für Tweet – und es funktionierte trotzdem, größtenteils. Der Sperrmechanismus von Tether blockierte beträchtliche Summen, verschiedene Börsen beschlagnahmten hier und da Teilbeträge, und einer der Zwischenwechsler brach unter dem Reputationsschaden zusammen und stellte den Betrieb ein. Der Großteil des Geldes verschwand jedoch im normalen weltweiten Geldkreislauf und bestätigte damit eine harte Wahrheit: Wenn das Team gut finanziert, geduldig und unempfindlich gegenüber Gebühren ist, schlägt Tempo jede Gründlichkeit. Die Operation hielt sich bezeichnenderweise nicht mit Formalitäten auf; sie lief ununterbrochen weiter, auch an Wochenenden und Feiertagen – weil der Staatsapparat, dem sie entkommen wollte, nur zu Bürozeiten arbeitet.

Ein Blick auf das Vorgehen von Amateuren liefert eine lehrreiche Lektion. Das Paar, das beschuldigt wurde, die Gelder aus dem Bitfinex-Hack von 2016 gewaschen zu haben, hielt einen großen Teil der gestohlenen Bitcoin über viele Jahre hinweg, verschob sie über Mixer und Darknet-Konten, schnitt sich jedoch nie ganz davon ab – als Bundesagenten schließlich 2022 ihr Anwesen stürmten, konnte der Staat Kryptowährungen im Wert von Milliarden Dollar mit wenigen juristischen Schriftsätzen beschlagnahmen. Es ist dieselbe Blockchain und dasselbe Maß an Transparenz, doch die Ergebnisse waren gegensätzlich. Das Problem lag nicht an den Werkzeugen; es lag an der Disziplin und, ehrlich gesagt, an der Geduld. Lazarus versteht Geldwäsche als Lieferkette; die Beteiligten im Bitfinex-Fall sahen darin lediglich ein Depot. Deponieren ist der direkte Weg ins Gefängnis.

Das Playbook, das der Fixer für M abspult, ist eine verkleinerte Version dieses Prozesses, und es lohnt sich, es klar aufzuschlüsseln, da jeder Schritt darauf abzielt, eine ganz bestimmte Ermittlungsmethode zu durchbrechen:

1. Aufteilen der Beute auf Dutzende Adressen, wobei sichergestellt wird, dass hinsichtlich der Finanzierung keinerlei Verbindung zwischen den Adressen besteht, um die Co-Spend- und Clustering-Heuristiken zu umgehen. 2. Einsatz eines Mixers, etwa auf CoinJoin-Basis, oder moderner Alternativen in Form von Cross-Chain-Swaps, die gezielt konstruiert wurden, um Spuren zu verwischen. 3. Verschieben von Blockchain-Assets über Bridges und Instant Exchanges, sodass der Ermittler von vorn beginnen und den Kontext in einer neuen Umgebung mit völlig anderer Analytik rekonstruieren muss. 4. Nutzung von Bitcoin für Tiefe und Stablecoins für Tempo, während der Wert über einen Zeitraum gehalten wird, der der Dauer des Nachrichtenzyklus entspricht. 5. Nutzung von Kanälen mit geringen Compliance-Anforderungen – wie etwa Over-the-Counter-Desks, private Broker und Bargeldtransaktionen in Ländern, deren Akteure keinem Aufsichtsgremium angehören.

Jeder Schritt birgt Kosten, Verzögerungen und das Risiko von Datenlecks – genau deshalb verlangt der Fixer auch solche Summen. Peel Chains – die ältere Methode, bei der Gelder durch Hunderte aufeinanderfolgende Adressen geschleust werden, die jeweils einen kleinen Teil abzweigen – sind zwar fast kostenlos, erzeugen aber die auffälligsten forensischen Diagramme der Branche. Mixer bieten zwar eine echte Verschleierung, stellen rechtlich gesehen mittlerweile jedoch Minenfelder dar; die Entwickler eines bekannten Bitcoin-Mixers wurden 2024 verhaftet, und Tornado Cash stand jahrelang unter US-Sanktionen, bevor Gerichte 2025 ein teilweises Einlenken erzwangen. Die Werkzeuge mögen ihren Namen ändern, die Ökonomie bleibt dieselbe. Anonymität ist ein Handelsgut mit einem Preis, und dieser Preis steigt jedes Mal, wenn eine Regierung neue Sanktionen verhängt.

Ermittler und die Beweislast

Gleichzeitig ist auf der anderen Seite des Glases das ungewöhnliche Summen einer ganzen Industrie zu vernehmen. Softwareunternehmen im Tracing-Bereich sind in der Lage, solche Ketten automatisch zu rekonstruieren und Millionen von Adressen benannten Entitäten zuzuordnen. Diese Firmen bedienen diverse Kunden: Börsen, die illegitime Gelder fernhalten wollen; Regulierungsbehörden, die Statistiken einfordern; und Strafverfolgungsbehörden, die nach Verdächtigen suchen. Hinzu kommen unabhängige Akteure – wie ZachXBT, der Kriminalitätsnetzwerke mit Schadenssummen in dreistelliger Millionenhöhe aufgedeckt hat, größtenteils unentgeltlich arbeitet und faktisch sowohl als Privatdetektiv als auch als öffentliches Gewissen fungiert. Seine Macht gründet sich nicht auf Gesetze, sondern auf Narrative: Eine gut dokumentierte Spur kann dazu führen, dass das Börsenkonto eines Finanzagenten eingefroren wird, noch bevor ein Staatsanwalt überhaupt die Akte geöffnet hat.

Dieses Ungleichgewicht prägt die gesamte Dynamik. Während Ermittler den Geldfluss fast in Echtzeit beobachten können, erfährt der Staat erst mit deutlicher Verzögerung und auf Umwegen davon. Damit Strafverfolgungsbehörden tatsächlich eingreifen können – etwa um Bankkonten einzufrieren, Immobilien zu beschlagnahmen oder Personen festzusetzen –, reicht ein Analysebericht allein nicht aus. Es bedarf weiterer Beweismittel: KYC-Daten, die eine Adresse mit einem Pass verknüpfen, Server-Logs, die einen Pass mit einem Laptop verbinden, und Zeugenaussagen, die den Laptop einer konkreten Entscheidung zuordnen. Eine Zuordnung muss gerichtsfesten Standards genügen, und der Weg von Blockchain-Beobachtungen zu gerichtlich verwertbaren Beweisen ist langwierig, von Jurisdiktion zu Jurisdiktion unterschiedlich und schleppend. Ein Analyst kann das gesamte Netzwerk des Fixers innerhalb einer Woche identifizieren; ein Staatsanwalt braucht dagegen unter Umständen ein ganzes Jahr, um anhand dieser Karte zu handeln – Zeit genug für die Geldkuriere, ihre Telefone längst auszutauschen.

Der Fixer kennt diese behördlichen Zeitpläne genauso gut wie jeder Anwalt. Die Abwicklung von Rechtshilfeabkommen vollzieht sich in geologischer Langsamkeit. Beschlagnahmebeschlüsse greifen nur dort, wo etwas greifbar ist – und greifbar ist nur das, was sich in dem Moment, in dem die Papiere eintreffen, auf einer kooperierenden Börse befindet. Seine Strategie besteht daher nicht darin, die Blockchain abzuhängen – das kann niemand –, sondern die Bürokratie auszubooten, indem er Werte so lange in den Zwischenräumen verschiedener Jurisdiktionen hält, bis das System seine Aufmerksamkeit auf den nächsten Fall richtet. Kriminalität ist in diesem Kontext nicht primär ein Regelbruch, sondern das Ausnutzen der trägsten Schwachstellen des Systems.

Eine psychologische Komponente findet in offiziellen Berichten selten Erwähnung. Die Spurensucher werden von etwas angetrieben, das stärker ist als ihr Gehalt – einer echten Passion, die oft auf der Wut über Betrüger fußt und bisweilen vom befriedigenden Rausch genährt wird, als Erster den Betrug aufgedeckt zu haben. Die Geldwäscher hingegen handeln aus einem Motiv, das schwächer ist als reine Gier: Sie folgen schlicht der Routine ihres Arbeitsalltags. Die meisten Fixer sehen sich genauso wenig als Kriminelle wie Rentensachbearbeiter; sie transferieren lediglich Werte, und die moralische Verantwortung dafür liegt für sie bei jemand anderem. Dieses Selbstbild – sich als neutral, technisch versiert und respektabel zu betrachten – bildet das Fundament der gesamten Geldwäscheökonomie. Staatsanwälte setzen nun genau hier an, indem sie Mixer-Entwickler und Börsenbetreiber ins Visier nehmen statt jener Schemen, die im Besitz der Private Keys sind.

Warum die Maschine niemals stoppt

Tritt man einen Schritt zurück und betrachtet Ms Geschichte im Ganzen, wirkt sie weniger wie ein Kriminalfall, sondern eher wie ein Ökosystem mit eigenem Stoffwechsel. Jede Erhöhung der Sicherheitsstandards erschwert Diebstähle, was wiederum die Fähigkeiten potenzieller Diebe steigert. Dies treibt das qualitative Niveau der Fixer in die Höhe, was bessere Analysetools erfordert, die ihrerseits ausgefeiltere Waschmethoden nach sich ziehen – ein endloser Kreislauf. Nordkorea hat sich dieses Muster zu eigen gemacht und zur Staatsdoktrin erhoben, indem es sein Regime über genau jene Zahlungsmethoden finanziert, die sein internationales Publikum bevorzugt. Amateure beweisen immer wieder, dass menschliche Faktoren – Ungeduld, Gier und der Drang, das Geld auszugeben – die verwundbarste Angriffsfläche bleiben. Zudem werden die Datenschutz-Tools eines Jahrzehnts nicht selten zu den Sanktionsobjekten des nächsten.

TRON nimmt in diesem System eine Sonderstellung ein, da auf keinem anderen Netzwerk mehr USDT zirkulieren. Dies führt dazu, dass dort sowohl das aktivste legale Handelsvolumen als auch einige der intensivsten Geldwäscheaktivitäten der Welt abgewickelt werden. Da die Durchführung Tausender USDT-Transaktionen im Netzwerk ins Geld geht, wenn man dafür jedes Mal TRX verbrennen muss, nutzen Großakteure – wie Börsen, Zahlungsabwickler und eben auch Geldwäscher, die Peel Chains betreiben – dieselbe Lösung: Sie mieten TRON Energy. Da der Kauf von TRON Energy nur einen Bruchteil dessen kostet, was beim Verbrennen von TRX fällig würde, oder indem man TRON Energy nutzt, die für eine Stunde delegiert wird, während einige hundert Transaktionen abgewickelt werden, ist dies auf der legalen Seite des Marktes schlicht effizientes Wirtschaften. Genau diese günstige TRON Energy macht auf der anderen Seite jedoch auch ein Geldwäschesystem mit Hunderten Adressen rentabel. Seriöse Energy-Anbieter prüfen daher inzwischen genau, wen sie bedienen. Hier zieht Netts eine Grenze, die der restliche Mietmarkt nicht zieht: Mithilfe einer eigenen TRON-Analyseinfrastruktur wurde ein Compliance-Bereich geschaffen, der über 28 Millionen gesperrte Adressen umfasst – sanktionierte Entitäten, Phishing-Infrastrukturen sowie Wallets, die mit Hacks und gestohlenen Geldern in Verbindung stehen. Jede Anfrage zur Energy-Delegierung wird in Echtzeit mit dieser Liste abgeglichen, unterstützt durch eine unabhängige Elliptic-Ebene hinter dem eigenen Überwachungssystem. Der Grund dafür ist einfach: Die Ressourcen, die die Geldwäschewirtschaft speisen, dürfen nicht von einer Infrastruktur bereitgestellt werden, die vorgibt, nicht zu wissen, wie Geldwäsche aussieht.

Für all jene, die auf der ehrlichen Seite dieser Grenze stehen – also Trader, Börsen und Zahlungsdienste –, ist das praktische Fazit simpel: Wer USDT auf TRON transferieren möchte, ohne TRX ausgeben zu müssen, findet im Netts TRON Energy Market die gesamte Mietbranche in Echtzeit gebündelt. So lässt sich Energy stets zum günstigsten aktuell verfügbaren Marktpreis mieten – und das über eine Plattform, die bereits heute in der Lage ist, zwischen einem vielbeschäftigten Trader und einer aktiven Peel Chain zu unterscheiden.